WordPress 5.2.4. Actualización de seguridad

¡Ya está disponible WordPress 5.2.4! Esta actualización de seguridad corrige 6 problemas de seguridad.

Las versiones de WordPress 5.2.3 y anteriores están afectadas por estos fallos, que se solucionan en la versión 5.2.4. También hay versiones actualizadas de WordPress 5.1 y anteriores para cualquier usuario que aúno no haya actualizado a la versión 5.2.

Actualizaciones de seguridad

• Gracias a Evan Ricafort por descubrir un problema por el que un XSS almacenado (script de sitios cruzados) podría añadirse al personalizador.
• Gracias a J.D. Grimes, quien descubrió y divulgó un método de ver entradas sin identificación.
• Gracias a Weston Ruter por descubrir un modo de crear un XSS almacenado con el que se podría inyectar Javascript en las etiquetas de estilo.
• Gracias a David Newman por desvelar un método para intoxicar la caché de las peticiones JSON GET mediante Vary: Origin header.
• Gracias a Eugene Kolodenker, que descubrió una falsificación de peticiones en el servidor en el método en que se validaban las URLs.
• Gracias a Bidner, del equipo de seguridad de WordPress, que descubrió problemas relacionados con la validación de referentes en la administración.

Gracias a todos los que han informando mediante la divulgación privada de las vulnerabilidades, por habernos dados tiempo a corregirlas antes de que hayan podido atacarse sitios WordPress.

Para más información revisa la lista completa de cambios en el trac, o echa un vistazo a la página de documentación de la versión 5.2.4.

WordPress 5.2.4 es una actualización de seguridad de ciclo corto. La siguiente versión mayor será la 5.3.

Puedes descargar WordPress 5.2.4 o visitar tu Escritorio → Actualizaciones y hacer clic en Actualizar ahora. Los sitios compatibles con las actualizaciones automáticas en segundo plano ya se están empezando a actualizar automáticamente.

Además de los investigadores de seguridad mencionados arriba, gracias a todos los que han contribuido a WordPress 5.2.4:

Aaron D. Campbell, darthhexx, David Binovec, Jonathan Desrosiers, Ian Dunn, Jeff Paul, Nick Daugherty, Konstantin Obenland, Peter Wilson, Sergey Biryukov, Stanimir Stoyanov, Garth Mortensen, vortfu, Weston Ruter, Jake Spurlock y Alex Concha.